Data Act vs CLOUD Act: 클라우드에 저장된 데이터를 실제로 통제하는 주체는 누구인가?

Fri, 19 Jun 2026 00:00:00 +0000

수년간 세계는 하나의 단순한 가정 위에서 작동해 왔습니다. 바로 데이터에는 물리적 거주지가 있다는 것입니다. 더블린의 서버에 저장된 데이터는 아일랜드법과 유럽법의 적용을 받았습니다. 그러나 이 가정은 2018년 미국이 CLOUD Act를 제정하면서 무너졌습니다. 이 법은 미국 기업이 통제하는 데이터에 미국 당국이 접근할 수 있도록 허용하며, 해당 데이터가 전 세계 어디에 물리적으로 저장되어 있든 관계없이 적용됩니다. 그로부터 수년 뒤, 브뤼셀은 자체적인 보호 장치로 응답했습니다. 현재 전면 적용 중인 Data Act는 제3국 당국이 유럽연합 내에 보관된 데이터에 역외적으로 접근하는 것을 제한하려 합니다.

이 두 법령이 실제로 무엇을 규정하는지, 어디서 충돌하는지, 그리고 이 충돌에 맞서는 유일한 견고한 보호 수단이 기술적 접근 불가능성인 이유를 살펴봅니다.

미국 CLOUD Act: 위치가 아닌 통제에 기반한 접근

2018년 3월 제정된 CLOUD Act(Clarifying Lawful Overseas Use of Data Act)는 미국법에 18 U.S. Code § 2713 조항을 추가했습니다. 이 조항은 전자 통신 서비스 또는 원격 컴퓨팅 서비스 제공자에게, 해당 데이터가 미국 내부에 있든 외부에 있든 관계없이, 자신의 소유, 관리 또는 통제 하에 있는 통신 내용 또는 관련 기록을 보존, 백업 또는 공개하도록 의무화합니다.

바로 이 마지막 조항이 모든 것을 바꿉니다. 기준이 되는 것은 더 이상 서버의 물리적 위치가 아니라, 모회사가 자회사에 행사하는 통제권입니다. 따라서 유럽에서 데이터 센터를 운영하는 미국 기업은, 데이터가 전적으로 유럽 영토 내에 저장되어 있더라도, 미국의 수사 요청에 계속 응해야 합니다.

유럽 Data Act: 역외 접근에 대한 법적 장벽

규정 (EU) 2023/2854, 즉 Data Act는 2024년 1월 11일 발효되어 2025년 9월 12일부터 전면 적용되고 있으며, 일부 조항은 2026년과 2027년까지 단계적으로 시행됩니다. 제32조는 데이터에 대한 국제적 정부 접근 문제를 직접적으로 규율합니다.

이 조항은 명확한 규칙을 확립합니다. 제3국의 법원이나 행정 기관이 데이터 처리 서비스 제공자에게 유럽연합 내에 보관된 비개인 데이터를 이전하거나 접근을 허용하도록 요구하는 결정이나 판결은, 요청국과 유럽연합 또는 관련 회원국 사이에 유효한 국제 협정(예: 사법 공조 조약(MLA))에 근거할 때에만 인정되고 집행될 수 있습니다.

그러한 협정이 없는 경우, 제32조는 두 번째 경로를 엄격한 조건 하에 허용합니다. 외국의 결정은 해당 제3국의 법체계가 요청이 동기 부여되고 비례적이며 충분히 특정적임을 요구하는 경우, 예를 들어 특정 인물이나 범죄와의 명확한 연관성을 확립하는 경우, 그리고 수신자의 이의 신청이 해당 제3국의 권한 있는 법원의 심사를 받을 수 있는 경우에만 집행될 수 있습니다.

직접적인 법적 충돌

문제는 즉각적으로 발생합니다. CLOUD Act는 유럽법이 요구하는 수준에 상응하는 비례성 조건 없이 모회사의 통제권에 기반한 공개를 요구합니다. 반면 Data Act는 그러한 요청의 인정을 국제 협정의 존재 또는 정확한 절차적 보장에 종속시킵니다. 유럽에서 운영 중인 미국 기업이 미국 당국으로부터 유럽연합 내에 호스팅된 데이터를 제출하라는 명령을 받으면, 두 가지 모순된 법적 의무 사이에 놓이게 됩니다. 미국의 명령에 응하여 유럽연합법을 위반하거나, Data Act를 준수하여 미국에서 거부의 결과를 감수해야 하는 것입니다.

이 긴장은 이론적인 것이 아닙니다. 유럽연합 사법재판소(CJUE)의 두 가지 주요 판결인 Schrems I(2015)과 Schrems II(2020)에서 이미 문서화되었습니다. Schrems II 판결에서 CJUE는 FISA(Foreign Intelligence Surveillance Act) 제702조와 행정명령 12333에 근거한 미국의 감시 활동이 비례성 원칙에 따라 유럽연합법이 요구하는 최소한의 보장을 충족하지 않으며, 엄격하게 필요한 것으로 제한된다고 볼 수 없다고 판단했습니다. 또한 재판소는 기본권헌장 제47조를 위반하여 유럽연합 정보 주체에게 효과적인 사법적 구제 수단이 없음을 지적했습니다. 이 판결은 그때까지 EU와 미국 간 데이터 이전을 규율하던 Privacy Shield 체계를 무효화했습니다.

구조적 위험: Harvest Now, Decrypt Later

관할권 충돌을 넘어, 미국법의 적용을 받는 인프라에 호스팅된 데이터에는 더욱 교묘한 위협이 도사리고 있습니다. 바로 Harvest Now, Decrypt Later (HNDL) 전략입니다. 이 전략은 정보 기관이나 적대적 국가 행위자가 오늘 암호화된 데이터를 가로채고 저장한 뒤, 미래에 이를 해독하기에 충분한 양자 컴퓨팅 능력이 생기기를 기다리는 것입니다.

이 전략은 미국 클라우드 인프라에 대한 장기적 의존을 지연된 보안 부채로 만들어 버립니다. 오늘 기밀인 내용이 10년 또는 15년 후에는 공격자가 추가적인 어떤 행동도 취할 필요 없이, 단지 시간과 인내심만으로 읽을 수 있게 될 수 있습니다.

기술적 불가능성만이 진정한 보장인 이유

법적 분석은 많은 컴플라이언스 전문가들이 공유하는 결론으로 수렴됩니다. Data Act의 법적 틀이 아무리 견고해도, 그것은 지정학적 역학 관계와 외교적 압력이 우회하거나, 지연시키거나, 재해석할 수 있는 하나의 문서에 불과합니다. 미래의 어떠한 협상에도 의존하지 않는 유일한 보호 수단은 기술적 집행 불가능성입니다.

서비스 제공자가 복호화 키를 소유하거나 관리하지 않는 zero knowledge 아키텍처는 수사 요청을 실질적으로 무력화합니다. 결코 보유한 적 없는 것을 넘겨주도록 강요받을 수는 없기 때문입니다.

이것이 Arpokrat과 같은 생태계를 구성하는 논리입니다.

관할권 무력화: 인프라는 스위스에 호스팅되어 연방 데이터 보호법(LPD/FADP)의 적용을 받으며, CLOUD Act 역외 적용의 직접적인 범위를 벗어납니다.
관리 부재: zero knowledge 아키텍처는 서비스 제공자가 결코 보유하지 않는 키나 콘텐츠를 제출할 능력 자체를 박탈합니다.
신원 흔적 최소화: 전화번호나 이메일 주소, 즉 FISA 제702조 기반 감시가 쉽게 추적할 수 있는 식별자를 통한 가입 의무를 없앰으로써, 사용자는 식별 가능한 구독자에서 익명의 암호화 키로 전환됩니다.

관리 연쇄는 메시지 암호화에서 끝나지 않습니다

컴플라이언스 분석에서 종종 과소평가되는 지점이 있습니다. Android나 iOS를 막론하고 기반 운영 체제가 미국 관할권의 서버로 향하는 커널 수준의 메타데이터나 텔레메트리를 계속 수집한다면, 통신 내용을 암호화하는 것만으로는 충분하지 않습니다. 비밀 보호는 콘텐츠부터 물리적 인프라 자체에 이르기까지 관리 연쇄 전체를 닫아야 합니다.

이것이 디지털 주권이 메시징 앱뿐만 아니라 사용하는 운영 체제에 대한 성찰도 필요로 하는 이유입니다. 블루투스나 GNSS 위치 추적 모듈을 커널 수준에서 직접 비활성화할 수 있는 탈구글화 시스템은, 어떠한 애플리케이션 레벨 암호화로도 보완할 수 없는 물리적 공격 벡터를 제거합니다.

양자 내성 암호: 이미 시작된 지평선

HNDL 전략이 제기하는 위협에 맞서, 양자 내성 암호(PQC) 표준의 채택은 영업 비밀, 업무 서신, 건강 데이터 등 장기적으로 민감한 데이터의 기밀성을 보장하려는 모든 이에게 필수가 되었습니다. 오늘날 고전적 표준에 따라 견고하다고 평가되는 암호화가 향후 15년 이내에 예상되는 양자 컴퓨팅 능력에도 버텨낼 것이라는 보장은 없습니다.

Data Act와 CLOUD Act 사이의 충돌은 더 광범위한 현실을 보여줍니다. 디지털 주권은 더 이상 아무리 견고하더라도 법률 문서만으로 구축될 수 없습니다. 암호화 프로토콜에서 호스팅 관할권까지, 그리고 운영 체제 자체에 이르기까지 모든 수준에서 관리 연쇄를 닫아야 합니다. 단일 규제 체계에 대한 신뢰보다는, 이러한 계층적 접근 방식이 오늘날 설계에 의한 진정한 디지털 주권을 정의합니다.

양자 내성 암호 on Arpokrat